Adobe Commerce tárolt cross-site scripting sérülékenysége: alacsony jogosultságú támadók fiókokat vehetnek át (CVE-2026-92911)

Mi történt

Az Adobe Commerce rendszert érinti a tárolt cross-site scripting (XSS) sérülékenység. Alacsony jogosultságú támadó rosszindulatú JavaScript-kódot szúrhat be a sérülékeny űrlapmezőkbe. Amikor az áldozat később megnyitja az adott mezőt tartalmazó oldalt, a szkript lefut az áldozat böngészőjében. Az Adobe a lehetséges következményt az áldozat fiókjához vagy munkamenetéhez való megemelt hozzáféréssel, illetve azok feletti irányítás átvételével írja le.

A CVSS 3.1-es vektor szerint a támadás hálózaton keresztül érhető el, alacsony bonyolultságú, alacsony jogosultsági szintet és némi felhasználói interakciót igényel, a hatókör megváltozik, a bizalmasságra és a sértetlenségre gyakorolt hatás magas, a rendelkezésre állást pedig nem érinti. Az írás időpontjában a CVE-rekord nem számol be nyilvános közzétételről vagy aktív kihasználásról.

Kit érint

Az Adobe Commerce a következő verziókig bezárólag érintett: 2.4.9-2026-sep, 2.4.8-2026-sep, 2.4.7-2026-sep, 2.4.6-2026-sep, 2.4.5-2026-sep és 2.4.4-2026-sep. Az Adobe Commerce B2B a következő verziókig bezárólag érintett: 1.5.3-2026-sep, 1.5.2-2026-sep, 1.4.2-2026-sep, 1.3.4-2026-sep és 1.3.3-2026-sep. A Magento Open Source a következő verziókig bezárólag érintett: 2.4.9-2026-sep, 2.4.8-2026-sep és 2.4.7-2026-sep. A Commerce és a Magento nyilvános e-kereskedelmi platformok, az érintett telepítések pedig az ezeken a verzióágakon futó áruházi és adminisztrációs telepítések.

Mit kell most tenni

1. Telepítse a termékéhez kiadott javított verziót. Az Adobe közzétette a 2026. októberi buildeket: Adobe Commerce 2.4.4-2026-oct, 2.4.5-2026-oct, 2.4.6-2026-oct, 2.4.7-2026-oct, 2.4.8-2026-oct, 2.4.9-2026-oct és 2.4.10-alpha1; Adobe Commerce B2B 1.5.4-alpha1, 1.5.3-2026-oct, 1.5.2-2026-oct, 1.4.2-2026-oct, 1.3.4-2026-oct és 1.3.3-2026-oct; Magento Open Source 2.4.10-alpha1, 2.4.9-2026-oct, 2.4.8-2026-oct és 2.4.7-2026-oct.
2. Kezelje kiemelten az áruházi felületeket és az adminisztrációs hozzáférést; a kompromittált adminisztrációs munkamenet megemelt szintű irányítást tehet lehetővé.
3. Ehhez a CVE-hez nem tüntettek fel kerülő megoldást. A frissítés telepítéséig korlátozza az alacsony jogosultságú felhasználók tartalombevitelét, és ellenőrizze a tárolt mezőket.

Hogyan észlelhető

Ehhez a CVE-hez a gyártó nem adott meg kompromittálódásra utaló jeleket. Gyakorlati ellenőrzésként vizsgálja át a tárolt űrlapmezőket és a felhasználók által létrehozott tartalmakat váratlan JavaScript- vagy HTML-kód után, és vizsgálja ki azokat az adminisztrációs munkameneteket, amelyek megemelt jogosultságú tevékenységet mutatnak, és nem magyarázhatók.

A javításon túl

Az e-kereskedelmi platformot érintő tárolt XSS arra emlékeztet, hogy a vásárlói és az alacsony jogosultságú bemeneteket megjelenítő kód is a támadási felület része. A behatolási teszt és megerősítési felülvizsgálat megmutathatja, hol lehet visszaélni a tárolt mezőkkel, az ellátási lánc védelmének nyomon követése pedig láthatóvá teszi az Adobe javítási ciklusát minden Ön által üzemeltetett Commerce- vagy Magento-telepítésen.